Broadcom corrige deux failles critiques dans VMware Workstation et Fusion

Broadcom a publié des correctifs pour deux vulnérabilités affectant VMware Workstation et Fusion, dont l'une présente un niveau de gravité critique. Les failles permettent potentiellement à un attaquant ayant déjà accès à une machine virtuelle d'exécuter du code sur le système hôte sous-jacent.

Les failles identifiées

La première vulnérabilité, cataloguée CVE-2026-59346, affiche un score CVSS de 9,3 sur 10, la plaçant en territoire critique. Il s'agit d'un débordement d'entier dans l'adaptateur réseau virtuel VMXNET3, un composant conçu par VMware pour les machines virtuelles. Selon l'avis de sécurité VMSA-2026-0007 publié par Broadcom, un acteur malveillant disposant de privilèges administratifs locaux sur une machine virtuelle équipée de cet adaptateur réseau peut exploiter cette faille pour exécuter du code sur l'hôte.

La seconde faille, baptisée CVE-2026-59347, obtient un score CVSS de 8,1. Elle réside dans un débordement de pile au niveau du composant HGFS (Host-Guest File System), une fonctionnalité permettant à une machine virtuelle d'accéder aux fichiers du système hôte. Un attaquant possédant des privilèges administratifs sur une machine virtuelle pourrait exploiter cette vulnérabilité pour exécuter du code avec les privilèges du processus VMX fonctionnant sur l'hôte.

Produits et versions touchés

Les deux vulnérabilités affectent VMware Workstation, qui fonctionne sur Windows et Linux, ainsi que VMware Fusion, disponible sur macOS. Les versions potentiellement vulnérables sont la 25H2 et la 26H1. Broadcom indique avoir résolu ces problèmes dans la version 26H1u1. À ce stade, aucun correctif temporaire ou mesure de contournement n'est disponible pour pallier ces failles.

Origine dessignalements

Les vulnérabilités ont été signalées à Broadcom par plusieurs équipes de recherche. Pour la faille CVE-2026-59346, les découvreurs sont h4urek du laboratoire secsys, le chercheur Y² ainsi que Stan S, ce dernier travaillant avec le programme TrendAI Zero Day Initiative. La vulnérabilité CVE-2026-59347 a été rapportée par Yeonghyeon Choi et Tianchu Chen, tous deux membres du laboratoire Tencent Xuanwu.

Contexte d'exploitation

Dans les deux cas, l'exploitation réussie dépend de la capacité préalable de l'attaquant à obtenir des privilèges administratifs sur une machine virtuelle. Ces privilèges peuvent être acquis par divers moyens, notamment via une compromission préalable par hameçonnage ou l'exploitation de configurations utilisateur faibles. Cette condition préalable réduit le risque immédiat pour les systèmes où les machines virtuelles ne sont pas directement accessibles aux utilisateurs non autorisés.

Mesures recommandées

Les administrateurs utilisant VMware Workstation ou Fusion sont invités à vérifier leur version installée et à appliquer sans délai la mise à jour 26H1u1. La criticité de la faille CVE-2026-59346 et l'absence de solutions de contournement rendent cette mise à jour particulièrement urgente pour les environnements où la sécurité des machines virtuelles est une préoccupation majeure.